CRS-WSH-02
Анализ сетевых дампов в Wireshark, диагностика рукопожатий TLS 1.3 и поиск скрытых соединений
Текстовые журналы приложений фиксируют только те события, которые программист предусмотрел в коде, тогда как дамп сетевого интерфейса беспристрастно отражает каждый реально отправленный в линию байт. Анализатор Wireshark и консольная утилита tshark позволяют инженеру восстановить картину обмена по пакетам, проверить параметры шифрования и обнаружить несанкционированные внешние вызовы.
1. Разделение прав захвата пакетов и строение сетевого кадра TLS 1.3
dumpcap отбирает нужные пакеты фильтром ядра BPF в кольцевой буфер, а непривилегированный декодер разбирает заголовки TCP и открытые расширения TLS 1.3.2. Различие между фильтрами захвата и отображения при анализе шифрованного обмена
Модули разбора сетевых протоколов обрабатывают сложные вложенные структуры из недоверенной сети, поэтому запуск полного графического окна Wireshark с правами суперпользователя создаёт неоправданный риск для рабочей станции. Грамотный инженер ведёт запись трафика минимальной утилитой dumpcap в кольцевые файлы ограниченного объёма, а открывает готовый дамп под обычной непривилегированной учётной записью.
Начинающие специалисты часто путают фильтры захвата ядра BPF (например, выражение tcp port 443, отсекающее лишние пакеты до записи на диск) с фильтрами отображения Wireshark вида tls.handshake.type == 1, которые применяются для выборки нужных полей уже внутри сохранённого файла.
Даже при передаче прикладных данных внутри шифрованного соединения TLS 1.3 пассивный осмотр кадров показывает сетевые адреса назначения, запросы к службе доменных имён, запрашиваемое имя узла в расширении SNI, выбранный прикладной протокол ALPN и объём передаваемых блоков. На изолированном лабораторном стенде переменная окружения SSLKEYLOGFILE позволяет полностью расшифровать тестовую сессию в Wireshark без подмены корневых сертификатов.
| Команда, фильтр или режим | Наблюдаемый технический артефакт | Прикладной вывод для инженера |
|---|---|---|
tcp.flags.syn == 1 && tcp.flags.ack == 0 | Все пакеты первичной установки соединения TCP в дампе | Мгновенно выявляет всплески исходящих подключений, перебор портов и скрытые обращения к внешним узлам |
tls.handshake.type == 1 | Клиентские приветствия ClientHello при установке защищённой сессии | Показывает целевые доменные имена в поле SNI, поддерживаемые версии протокола и наборы шифров |
dns.flags.rcode != 0 || frame.len > 240 && dns | Ошибки разрешения имён и нестандартно длинные пакеты к порту 53 | Помогает обнаружить скрытую выгрузку данных через доменные запросы или обращения к несуществующим узлам |
http.request || http2.headers.method | Открытые заголовки запросов HTTP/1.1 и расшифрованных сессий HTTP/2 | Вскрывает передачу внутренних токенов без шифрования между микросервисами одного сегмента |
tshark -r trace.pcapng -T fields -e ip.dst -e tls.handshake.extensions_server_name | Сводная таблица всех внешних адресов и доменных имён из записанного дампа | Даёт точный перечень сторонних узлов, к которым обращался проверяемый сайт или агентный процесс |
3. Лабораторный практикум и связь с программным фильтром на проводе
pcapng через dumpcap без запуска графической оболочки от суперпользователя, сборка потоков TCP, чтение открытых полей TLS и поиск аномальных исходящих обращений.В учебном задании ниже инженер записывает трафик тестового интерфейса в кольцевой буфер с жёстким потолком размера, выгружает список всех запрошенных доменных имён через tshark и убеждается в отсутствии скрытых вызовов к облачным метаданным и зарубежным счётчикам.
# 1. Запись трафика портов 443 и 53 в кольцевой буфер по 50 МБ без запуска GUI от root
dumpcap -i eth0 -f "tcp port 443 or port 53" -b filesize:51200 -b files:4 -w /tmp/lab_egress.pcapng
# 2. Выгрузка всех внешних адресов и доменных имён SNI из приветствий TLS ClientHello
tshark -r /tmp/lab_egress.pcapng -Y "tls.handshake.type == 1" \
-T fields -e frame.time_epoch -e ip.dst -e tls.handshake.extensions_server_name
# 3. Проверка отсутствия нешифрованных запросов и обращений к адресу метаданных 169.254.169.254
tshark -r /tmp/lab_egress.pcapng -Y "ip.dst == 169.254.169.254 || http.request" Сетевой анализатор фиксирует пакеты уже при выходе на интерфейс, а для предотвращения порчи данных разрушительные команды нужно останавливать ещё внутри процесса до передачи в сокет. Именно на этом принципе построена третья ступень конвейера INDRA (IB30-ZHS-03), проверка подделки серверных запросов SSRF-INT и онлайн-осмотр трансграничных вызовов TOOL-152-02.
4. Инженерные ответы по модулю CRS-WSH-02
Расшифровка собственного тестового трафика HTTPS на лабораторном стенде без взлома сертификатов
При запуске тестового браузера или скрипта на изолированном стенде задаётся переменная SSLKEYLOGFILE=/tmp/tls_keys.log, куда клиент записывает сессионные ключи для прозрачного чтения кадров TLS 1.3 в Wireshark.
Причина отказа от запуска графического интерфейса Wireshark с правами суперпользователя
Декодеры сотен сетевых протоколов содержат большой объём сложного кода разбора байтовых полей, поэтому захват выполняется минимальной утилитой dumpcap, а чтение файла ведётся от обычного пользователя без риска компрометации системы.
Преимущество контейнера pcapng перед устаревшим форматом pcap при разборе инцидентов
Формат pcapng сохраняет внутри файла сведения о сетевых адаптерах, счётчики потерянных ядром пакетов, таблицы разрешения имён и приложенные ключи расшифровки стенда, обеспечивая полную воспроизводимость экспертизы.
Защита дискового раздела от переполнения при длительной записи трафика на нагруженном узле
Ключи кольцевой ротации -b filesize:51200 -b files:4 в сочетании с узким фильтром ядра BPF жёстко ограничивают суммарный объём дампа на диске при сохранении свежих пакетов вокруг момента сбоя.
Три пакета корпоративного пилота и автономной поставки
Периметр, шифрование и локализация по № 152-ФЗ
Автономная верификация прикладных шлюзов пакетом indra-core
OpenAPI и изолированный тестовый стенд; заказчик получает парную проверку по тридцати классам атак с нулевым числом ложных тревог, защитные правила для mcp-sentinel и сто пять квитанций криптожурнала.Защита автономных агентов и шлюз MITR (приказ № 117)
mcp.json и схемы инструментов агента; заказчик получает формальные политики допустимости и перехват опасных вызовов до открытия сокета.Получить автономный комплект или согласовать пилот
--no-index --find-links) и скрипты независимой перепроверки выдаются по запросу для лабораторных и пилотных испытаний. Оставьте рабочую почту в форме ниже без перезагрузки страницы или напишите напрямую на адрес af@isslab.ai.
Институт-разработчик и оператор стенда
1267700083617, ИНН 9731161602, КПП 773101001, 121352, город Москва, улица Давыдковская, дом 18, помещение VIII). По научно-инженерной программе ИБ 3.0 институт разрабатывает и сопровождает пограничный шлюз MITR и верификационный стенд INDRA, выпускает монографию «Доказанное действие» и открытые программные пакеты под лицензией Apache-2.0 без привлечения сторонних субподрядчиков.